本頁面的部分或所有資訊可能不適用於 S3NS 的 Cloud de Confiance。詳情請參閱「與 Google Cloud 的差異」。

Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

設定虛擬私有雲網路對等互連

您可以設定 Gemini Enterprise Agent Platform，與虛擬私有雲 (VPC) 對接，直接連線至 Agent Platform 中的特定資源，包括：

本指南說明如何設定虛擬私有雲網路對接，將網路與 Agent Platform 資源對接。本指南適合已熟悉 Cloud de Confiance by S3NS網路概念的網路管理員。

總覽

本指南涵蓋下列工作：

為虛擬私有雲設定私人服務連線。這會在您的虛擬私有雲和 Google 的共用虛擬私有雲網路之間建立對接連線。
請考量需要為 Agent Platform 預留的 IP 範圍。
如適用，請匯出自訂路由，以便 Agent Platform 匯入。

事前準備

選取要與 Agent Platform 資源對接的虛擬私有雲。Agent Platform 一次只能與一個區域中的一個網路對接。
選取或建立要用於 Agent Platform 的 Cloud de Confiance 專案。
確認 Cloud de Confiance 專案已啟用計費功能。
啟用 Compute Engine API、Agent Platform API 和 Service Networking API (如有尚未啟用的 API)。
啟用 API 所需的角色
您必須具備 serviceusage.services.enable 權限，才能啟用 API。如果您建立了專案，可能已透過「擁有者」角色 (roles/owner) 取得這項權限。否則，您可以透過「Service Usage 管理員」角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。
啟用 API

您也可以視需要使用Shared VPC。如果使用 Shared VPC，您通常會在與 VPC 主機專案不同的Cloud de Confiance by S3NS專案中使用 Agent Platform。在兩項專案中啟用 Compute Engine API 和 Service Networking API。瞭解如何佈建 Shared VPC。
如要執行本指南中的 gcloud 範例，請安裝 gcloud CLI。

必要的角色

如果您不是專案擁有者或編輯者，請確認您具備Compute 網路管理員角色 (roles/compute.networkAdmin)，其中包含管理網路資源所需的必要角色。

與地端部署網路對等互連

如要與地端部署網路進行虛擬私有雲網路對接，請按照下列額外步驟操作：

將地端部署網路連線至虛擬私有雲。您可以使用 VPN 通道或互連網路。
設定從虛擬私有雲到地端部署網路的自訂路由。
匯出自訂路徑，以便 Agent Platform 匯入。

設定虛擬私有雲的私人服務連線

設定私人服務存取權時，您會在自己的網路與 Google 或第三方服務 (服務生產者) 擁有的網路之間建立私人連線。在本例中，Agent Platform 是服務生產者。如要設定私人服務存取權，請為服務生產者保留 IP 範圍，然後建立與 Agent Platform 的對接連線。

如果已有設定私人服務存取權的虛擬私有雲，請直接匯出自訂路徑。

為專案 ID、預留範圍名稱和網路名稱設定環境變數。如果使用 Shared VPC，請使用虛擬私有雲主機專案的專案 ID。否則，請使用 Agent Platform 專案的專案 ID。 Cloud de Confiance
啟用必要的 API。如果您使用 Shared VPC，請參閱「搭配使用 Shared VPC 與 Agent Platform」。
使用 gcloud compute addresses create 設定預留範圍。

使用 gcloud services vpc-peerings connect，在虛擬私有雲主專案和 Google 的 Service Networking 之間建立對接連線。

如果是私人推論端點，建議您為模型託管子網路保留至少 /21 區塊。如果預留較小的區塊，可能會因 IP 位址不足而導致部署錯誤。

172.16.0.0/16 子網路已保留給 Vertex AI 訓練。您必須指定不與這個 CIDR 範圍重疊的子網路。

PROJECT_ID=YOUR_PROJECT_ID
gcloud config set project $PROJECT_ID

# This is for display only; you can name the range anything.
PEERING_RANGE_NAME=google-reserved-range

NETWORK=YOUR_NETWORK_NAME

# NOTE: `prefix-length=16` means a CIDR block with mask /16 will be
# reserved for use by Google services, such as Agent Platform.
gcloud compute addresses create $PEERING_RANGE_NAME \
  --global \
  --prefix-length=16 \
  --description="peering range for Google service" \
  --network=$NETWORK \
  --purpose=VPC_PEERING

# Create the VPC connection.
gcloud services vpc-peerings connect \
  --service=servicenetworking.googleapis.com \
  --network=$NETWORK \
  --ranges=$PEERING_RANGE_NAME \
  --project=$PROJECT_ID

進一步瞭解私人服務存取權。

Agent Platform 使用與 Cloud SQL 相同的私人服務存取權。如果您在同一個虛擬私有雲網路中設定這兩項服務，請務必為這兩項服務分配足夠的 IP 位址。或者，您也可以傳遞 reserved_ip_ranges 參數，指定預留項目的一部分供訓練工作使用。

搭配使用 Shared VPC 與 Agent Platform

如果專案使用 Shared VPC，請參閱「佈建 Shared VPC」，並務必完成下列步驟：

在主專案和服務專案中，啟用 Compute Engine API 和 Service Networking API。必須為服務專案啟用 Agent Platform API。
在主專案中，建立虛擬私有雲與 Google 服務之間的虛擬私有雲網路對接連線。
建立 Agent Platform 時，您必須指定網路名稱，Agent Platform 才能存取 Shared VPC。
確認所用的服務或使用者帳戶具備 Compute 網路使用者角色 (roles/compute.networkUser)。

為 Agent Platform 預留 IP 範圍

為服務生產者預留 IP 範圍後，Agent Platform 和其他服務就能使用該範圍。如果您使用相同範圍連線至多個服務供應商，請分配較大的範圍來容納這些供應商，以免 IP 耗盡。

請參閱「子網路建議」表格，確認私人服務存取的 IP 預留範圍足以容納工作負載。

如果工作是使用 --network 參數啟動，就會在與虛擬私有雲對接的 Google 代管網路中啟動：

--network = "projects/${host_project}/global/networks/${network}"

任何不需要存取網路的工作，都可以在不宣告的情況下啟動，進而保留 IP 分配。

如果無法保留足夠的 IP 範圍，建議您從採用私人服務存取權的 Gemini Enterprise Agent Platform，遷移至採用 Private Service Connect 的 Gemini Enterprise Agent Platform

匯出自訂路徑

如果您使用自訂路徑，則須匯出這些路徑，Agent Platform 才能匯入。如果您不使用自訂路徑，請略過本節。

如要匯出自訂路由，請在虛擬私有雲中更新對等互連連線。匯出自訂路由時，系統會將虛擬私有雲網路中所有符合資格的靜態和動態路由 (例如連往地端部署網路的路由)，傳送至服務生產者的網路 (在本例中為 Agent Platform)。這會建立必要的連線，並允許訓練工作將流量傳回地端部署網路。

請確認地端部署網路有返回 Agent Platform 所分配 IP 位址範圍的路徑，以便將回應正確轉送回 Agent Platform。例如，使用包含 Agent Platform IP 位址範圍的 Cloud Router 自訂路由 advertising。

進一步瞭解與地端部署網路的私人連線。

控制台

前往 Cloud de Confiance 控制台的「VPC Network Peering」(虛擬私有雲網路對接) 頁面。
前往「VPC Network Peering」(虛擬私有雲網路對接) 頁面
選取要更新的對等互連連線。
按一下 [編輯]。
選取「匯出自訂路徑」。

gcloud

找出要更新的對接連線名稱。如果您有多個對等互連連線，請省略 --format 旗標。

gcloud services vpc-peerings list \
  --network=$NETWORK \
  --service=servicenetworking.googleapis.com \
  --project=$PROJECT_ID \
  --format "value(peering)"

更新對接連線，匯出自訂路徑。

gcloud compute networks peerings update PEERING-NAME \
    --network=$NETWORK \
    --export-custom-routes \
    --project=$PROJECT_ID

查看對接連線狀態

如要查看對等互連連線是否處於啟用狀態，請使用下列指令列出連線：

gcloud compute networks peerings list --network $NETWORK

您應該會看到剛建立的對等互連狀態為 ACTIVE。進一步瞭解有效的對等互連連線。

疑難排解

本節列出設定虛擬私有雲網路對接 Agent Platform 時，可能遇到的常見問題。

設定 Agent Platform 使用 Shared VPC 網路時，請按照下列方式指定網路 URI。

"projects/YOUR_SHARED_VPC_HOST_PROJECT/global/networks/YOUR_SHARED_VPC_NETWORK"
如果指定 Agent Platform 使用共用虛擬私有雲網路，請務必在主專案中，為服務專案中的任何 Agent Platform 使用者或服務帳戶執行者授予 compute.networkUser 角色。
請確認您已為網路連線的所有服務生產者 (包括 Agent Platform) 分配足夠的 IP 範圍。
如果看到錯誤訊息 IP_SPACE_EXHAUSTED、RANGES_EXHAUSTED 或 PEERING_RANGE_EXHAUSTED，請務必增加網路中 servicenetworking 預留項目的可用 IP 位址數量。您可以新增範圍至現有的虛擬私有雲網路對等互連設定，或刪除部分代理平台資源，釋出已分配的 IP 位址。
連線逾時：匯出自訂路徑後，Agent Platform 的連線會透過您的網路轉送，連至其他網路中的端點。不過，這些端點可能不會透過您的網路將回應傳回 Agent Platform。請務必在這些網路中，新增靜態或動態路由，以便將傳回路徑導向代理平台分配的 IP 範圍。
連線逾時 / 主機無法連線錯誤：由於不支援傳遞對接，即使啟用「匯出自訂路徑」，Agent Platform 的連線也無法連至直接對接至您網路的其他網路端點。請與網路管理員合作，確保不會嘗試將網路從一個直接對接網路直接轉送至另一個網路。如有需要，您可以使用支援靜態或動態路徑的解決方案，取代其中一個對等互連躍點。
主機無法連線 DNS 錯誤：如果 Gemini Enterprise Agent Platform 工作需要解析虛擬私有雲中的主機名稱，請務必完成設定，與服務生產者共用私人 DNS 區域。
如果管道工作建立失敗，且 Logs Explorer 中顯示「內部錯誤」，請確認您除了私人服務存取子網路外，還部署了虛擬私有雲網路。
您可以查看哪些服務正在使用哪些 IP 位址。舉例來說，您可以查看哪些服務正在使用大範圍的 IP 位址區塊，並避免 IP 位址耗盡。
如果遇到 Unable to create an instance within a Shared VPC network 錯誤，請參閱「排解 Agent Platform Workbench 問題」。
如果看到錯誤訊息 For the peered network $network_name, couldn't find a free blocks in allocated IP ranges. This is needed to create the cluster.，請增加服務可用的分配範圍數量。您可以透過下列方式完成這項操作：
- 在網路中新增分配範圍，並將其新增至 servicenetworking-googleapis-com 私人連線。請注意，分配範圍大小下限為 /18。
- 刪除現有未使用的 Agent Platform 資源，釋出已分配的 IP 位址。
- 使用網路分析器，找出子網路使用率和潛在問題。

如需其他疑難排解資訊，請參閱「虛擬私有雲網路對等互連疑難排解指南」。